利用 Outlook 的一個漏洞，攻擊者能夠讓用戶誤信發送給他們的釣魚郵件是真實的。Outlook 中的地址簿能夠顯示來自國際化域名（IDNs）的聯繫信息，但不能確保這些信息是準確的。IDNs 包括來自其他文字的字母，如西里爾字母，這些字母在外觀上與拉丁字母相似。
![[圖]Outlook被爆安全漏洞 讓用戶誤信釣魚郵件是真實的](https://dailyclipper.s3.ap-northeast-1.amazonaws.com/wp-content/uploads/2021/09/20210908_6138015f52dea.jpg)
![[圖]Outlook被爆安全漏洞 讓用戶誤信釣魚郵件是真實的](https://dailyclipper.net/wp-content/themes/justnews/themer/assets/images/lazy.png)
![[圖]Outlook被爆安全漏洞 讓用戶誤信釣魚郵件是真實的](https://dailyclipper.s3.ap-northeast-1.amazonaws.com/wp-content/uploads/2021/09/20210908_613801606572a.jpg)
![[圖]Outlook被爆安全漏洞 讓用戶誤信釣魚郵件是真實的](https://dailyclipper.s3.ap-northeast-1.amazonaws.com/wp-content/uploads/2021/09/20210908_6138016136765.jpg)
![[圖]Outlook被爆安全漏洞 讓用戶誤信釣魚郵件是真實的](https://dailyclipper.s3.ap-northeast-1.amazonaws.com/wp-content/uploads/2021/09/20210908_61380162384b6.jpg)
![[圖]Outlook被爆安全漏洞 讓用戶誤信釣魚郵件是真實的](https://dailyclipper.s3.ap-northeast-1.amazonaws.com/wp-content/uploads/2021/09/20210908_613801633777f.jpg)
![[圖]Outlook被爆安全漏洞 讓用戶誤信釣魚郵件是真實的](https://dailyclipper.s3.ap-northeast-1.amazonaws.com/wp-content/uploads/2021/09/20210908_6138016469654.jpg)
通過相似字母欺騙用戶，能夠讓用戶相信這些郵件來自於真正的聯繫人。這個漏洞是由“Dobby1Kenobi”發現的。
我註冊了一個看起來像我自己組織的電子郵件地址，並給自己發了一封測試郵件，以區分郵件中的哪些因素突出了可疑之處。
這意味着如果一個公司的域名是’somecompany[.]com’，一個註冊了諸如’ѕ omecompany[.]com’（xn--omecompany-l2i[.]com）等國際域名的攻擊者可以利用這個漏洞，向’somecompany.com’內使用Microsoft Outlook for Windows的員工發送有說服力的釣魚郵件。
我的機構域名和釣魚域名的不同之處在於，域名的開頭有一個西里爾字母”s”。
微軟表示：
我們已經審查了你的案例，不過在這個案例中們決定不會在當前版本中修復這個漏洞，並關閉這個案例。在這種情況下，雖然可能發生欺騙行為，但如果沒有數字簽名，發件人的身份是不可信的。所需的變化很可能會導致誤報和其他方面的問題。
然而，看起來微軟事實上已經提前修復了它。根據Manzotti的說法，Outlook 16.0.14228.20216版本不再有這個漏洞。我們建議用戶將Outlook更新到最新版本，並謹防類似的釣魚詐騙。
![[圖]Outlook被爆安全漏洞 讓用戶誤信釣魚郵件是真實的](https://dailyclipper.s3.ap-northeast-1.amazonaws.com/wp-content/uploads/2021/09/20210908_613801657be14.jpg)
![[圖]Outlook被爆安全漏洞 讓用戶誤信釣魚郵件是真實的](https://dailyclipper.s3.ap-northeast-1.amazonaws.com/wp-content/uploads/2021/09/20210908_613801667e0dc.jpg)